为AWS SSO添加访问S3的内联策略遇权限不足问题

你遇到的问题核心在于S3部分API操作的资源匹配规则和权限范围限制，以下是具体分析和修复方案：

问题根源 #

S3的API操作分为三类，不同类型操作对资源ARN的要求不同：

• 账户级操作（如s3:ListAllMyBuckets）：这类操作针对AWS账户整体，必须指定Resource: "*"才能生效，无法限定到单个或部分桶。如果你的操作包含这类请求（比如查看账户下所有桶列表），而策略里没有单独允许该操作的*资源，就会触发权限不足。
• 桶级操作（如s3:ListBucket、s3:GetBucketLocation）：这类操作作用于桶本身，需要指定桶ARN（arn:aws:s3:::bucket-name）。
• 对象级操作（如s3:GetObject、s3:PutObject）：这类操作作用于桶内的对象，需要指定对象ARN（arn:aws:s3:::bucket-name/*）。

你之前的策略把所有s3:*操作绑定到桶和对象ARN，导致账户级操作无法获得权限，进而触发报错。

修正后的策略示例 #

根据需求拆分操作和资源，确保每类操作对应正确的资源范围：

{
    "Version": "2012-10-17",
    "Statement": [
        // 若需要查看账户所有桶列表，保留此声明；不需要可删除
        {
            "Effect": "Allow",
            "Action": "s3:ListAllMyBuckets",
            "Resource": "*"
        },
        // 允许以data开头的桶的桶级操作
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetBucketLocation",
                "s3:GetBucketAcl"
            ],
            "Resource": "arn:aws:s3:::data*"
        },
        // 允许以data开头的桶内所有对象的读写操作
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:PutObject",
                "s3:DeleteObject"
            ],
            "Resource": "arn:aws:s3:::data*/*"
        }
    ]
}

额外检查项 #

1. 桶名匹配验证：确认你的桶名确实以data开头，S3桶名是小写且DNS兼容的，若桶名含大写或特殊字符，通配符data*无法匹配。
2. 权限边界限制：检查权限集是否设置了Permissions Boundary，边界策略需同步允许对应的资源和操作，否则会覆盖内联策略的权限。
3. 拒绝策略冲突：确认关联的IAM实体（用户/角色）没有其他拒绝类策略（如基于标签的拒绝、托管拒绝策略），拒绝策略优先级高于允许策略。
4. 操作精准匹配：根据实际使用场景调整Action列表，避免过度授权；比如不需要删除对象就移除s3:DeleteObject。

内容的提问来源于stack exchange，提问作者waseem mir